¿Qué es DKIM (DomainKeys Identified Mail)?
DKIM (DomainKeys Identified Mail) es un estándar de autenticación de email que adjunta una firma criptográfica a cada mensaje. Los servidores receptores usan una clave pública publicada en tu DNS para confirmar que el mensaje viene realmente de tu dominio y que no se alteró por el camino.
Cómo funciona DKIM
Cuando envías correo, tu servidor firma el mensaje con una clave privada y añade una firma DKIM a las cabeceras. Tú publicas la clave pública correspondiente como registro DNS. El servidor receptor recupera esa clave pública y verifica la firma.
Si la firma es válida, el receptor sabe dos cosas: que el mensaje se originó realmente en tu dominio y que el contenido firmado no se manipuló por el camino. Si la verificación falla, el mensaje se trata como sospechoso.
Por qué DKIM mejora la entregabilidad
DKIM es el segundo pilar de la autenticación después de SPF. Como vincula criptográficamente un mensaje a tu dominio, es más difícil de falsificar que SPF por sí solo, y los proveedores de buzones le dan mucho peso al decidir la llegada a bandeja de entrada.
DKIM también habilita la alineación DMARC, que te permite publicar una política que diga a los receptores qué hacer con el correo que falla la autenticación. Sin DKIM, tu protección DMARC es más débil.
DKIM dentro de una configuración de envío sana
La mayoría de plataformas de email configuran DKIM por ti cuando autenticas tu dominio de envío; tu trabajo es publicar el registro DNS que te proporcionan. Una vez en marcha, DKIM apenas requiere mantenimiento más allá de la rotación ocasional de claves.
Combinado con SPF, DMARC y una lista de destinatarios verificada y mantenida limpia con herramientas como Mailbeam, DKIM ayuda a que tu correo sea de fiar y llegue.
Una firma DKIM, etiqueta a etiqueta
La firma viaja en la cabecera del mensaje. Cada etiqueta le dice al receptor cómo reconstruir y comprobar el hash.
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=s1; t=1718280000;
h=from:to:subject:date;
bh=uoq1oCgLlTqpdDX/iUbLy7J1Wic=;
b=dzdVyOfAKCdLXdJOc9G2q8LoXSlEniSb...
d= signing domain - the identity being claimed
s= selector; the key lives at s1._domainkey.example.com
h= which headers are covered. Anything not listed here
can be altered in transit without breaking the signature
bh= hash of the body
b= the signature itselfUna firma DKIM solo protege las cabeceras nombradas en la etiqueta h=, así que cualquier cabecera ausente de esa lista puede modificarse en tránsito sin invalidarla.
Fuentes
Contrastado con estas fuentes el .
En la práctica
Tu plataforma firma con DKIM cada mensaje saliente. El servidor del destinatario recupera tu clave pública del DNS, valida la firma y confirma que el mensaje es auténtico y no se ha modificado: una señal de confianza que, junto a SPF y DMARC, mantiene tus campañas fuera de la carpeta de spam.
Preguntas frecuentes
Verifica emails con confianza
Mailbeam se encarga de todo esto por ti: sintaxis, MX, SMTP, catch-all y desechables en una sola llamada a la API. 1.000 verificaciones gratis al mes, sin tarjeta.